La ilusión de seguridad es peor que la conciencia de su falta, porque conduce a decisiones basadas en premisas erróneas. La información proporcionada por instituciones de confianza pública, como «Protegemos sus datos personales», a menudo crea esta ilusión de seguridad. Estudiemos dos ejemplos de esto utilizando archivos PDF con contraseñas.
- Recibí un correo electrónico de PZU con una propuesta de seguro, subrayando «Protegemos sus datos personales»:
2. El archivo adjunto era un PDF protegido con contraseña:
3. Supongamos que no conozco la contraseña. Sin embargo, por el contenido del correo, sé que la contraseña consta de 4 dígitos. Veamos cuánto tiempo toma romperla usando una computadora doméstica moderna.
4. Abriendo el PDF en modo texto, podemos leer el encabezado del archivo (por ejemplo, con el bloc de notas). Esto nos permitirá identificar en qué versión del estándar se creó:
5. El siguiente paso es extraer el hash de la contraseña que queremos romper. Para ello, utilizamos la herramienta pdf2john.py.
6. Para romper el hash obtenido, usamos hashcat en modo de fuerza bruta. 10500 indica el modo de romper el hash del formato para archivos PDF versiones 1.4-1.6:
Como se puede ver a continuación, romper una contraseña de cuatro dígitos tomó 10 segundos:
Por lo tanto, se puede afirmar con certeza que una contraseña de 4 dígitos es un tipo de protección ilusoria y no protege los datos personales.
A continuación, revisemos el PDF «protegido» de NN Investment Partners.
- Aquí se protegió con una cadena de caracteres un poco más larga — el número PESEL.
2. El encabezado del archivo adjunto – «%PDF-1.2» indica que el archivo fue creado utilizando el estándar de 1996:
3. El hash de la contraseña extraído también indica lo mismo:
4. Lanzamos la fuerza bruta con hashcat. Fuerza bruta, porque no consideramos ningún otro supuesto que reduciría el número de combinaciones posibles, aparte del hecho de que PESEL es un número compuesto por 11 dígitos:
¿Qué hacer, cómo vivir?
Para cifrar datos, se deben usar contraseñas largas, de más de 12 caracteres, con un amplio espacio de caracteres, es decir, que contengan letras mayúsculas y minúsculas, números y caracteres especiales. Dicha contraseña debe enviarse al cliente por un segundo canal de comunicación, por ejemplo, un mensaje de texto. Además, las instituciones deben utilizar algoritmos de cifrado fuertes que ralenticen significativamente los intentos de fuerza bruta. Un ejemplo podría ser el uso de un archivo 7zip con el algoritmo AES- 256.
